Krypto News: Blockchain-Firma Ledger bestätigt die Kompromittierung von Library ConnectKit
Jede Form von Investment birgt Risiken. Es besteht die Möglichkeit, dass Sie Ihr eingesetztes Kapital teilweise oder vollständig verlieren. Der Zugang zu dieser Plattform ist auf Personen beschränkt, die sich in Ländern oder Regionen befinden, wo die angebotenen Handels- und Anlageformen gesetzlich erlaubt sind. Die Nutzung unserer Dienste ist ausschließlich für Individuen vorgesehen, die nach den geltenden Gesetzen und Vorschriften dazu berechtigt sind.
Bitte prüfen Sie sorgfältig, ob die hier angebotenen Investmentmöglichkeiten in Ihrem Land oder Ihrer Region dem Anlegerschutz unterliegen. Es liegt in Ihrer Verantwortung, eine gründliche Prüfung (Due Diligence) durchzuführen. Bitte beachten Sie, dass wir möglicherweise Provisionen von den auf dieser Website präsentierten Unternehmen erhalten.

Der Hardware-Wallet-Anbieter Ledger hat seine Nutzer/innen davor gewarnt, sich mit unterstützten dezentralen Anwendungen (dApps) zu verbinden, die seine Software nutzen, da sein Library ConnectKit kompromittiert wurde.
Wie Ledger auf seinem X-Handle (früher Twitter) mitteilte, wurde eine bösartige Version des Library ConnectKit identifiziert und aus dem Backend entfernt.
🚨We have identified and removed a malicious version of the Ledger Connect Kit. 🚨
A genuine version is being pushed to replace the malicious file now. Do not interact with any dApps for the moment. We will keep you informed as the situation evolves.
Your Ledger device and…
— Ledger (@Ledger) December 14, 2023
Daher wird Nutzern dringend geraten, vorübergehend nicht mit dApps zu interagieren. Ledger versicherte jedoch, dass ihre Ledger-Geräte und Ledger Live-Apps von dem schädlichen Code nicht betroffen sind.
Die kompromittierte Bibliothek connectkit wurde zuerst von einem Entwickler auf X mit dem Benutzernamen @bantg entdeckt, der feststellte, dass das Backend der Ledger-Software mit einem Drainer infiziert war.
🚨 ledger library confirmed compromised and replaced with a drainer. wait out interacting with any dapps till things become clearer.https://t.co/xapunW8zC3 pic.twitter.com/NlAc11vhdv
— banteg (@bantg) December 14, 2023
Der Abfluss wurde angeblich einem Content Delivery Network (CDN) hinzugefügt, in dem die Softwarebibliothek gehostet wurde.
Blockaid erklärte, dass ein Cyberangreifer einen “Wallet-entziehenden Payload in das beliebte NPM-Paket” einschleuste, was zu einer Kompromittierung von dApps führte, die die Versionen 1.14 und höher von Ledgers ConnectKit verwenden.
🚨 We've detected a potential supply chain attack on ledgerconnect kit 🚨
The attacker injected a wallet draining payload into the popular NPM package.
This currently affects a couple of popular dapps including but not limited to https://t.co/2QJmKIGv9T— Blockaid (@blockaid_) December 14, 2023
Matthew Lilley, Chief Technology Officer (CTO) von Sush, gab außerdem bekannt, dass das LedgerHQ/connectkit JS von einem CDN-Konto lädt, das kompromittiert wurde. Infolgedessen wurde ein bösartiger JS-Code in mehrere DApps eingeschleust.
No, LedgerHQ/connect-kit loads JS from a CDN, their CDN account has been compromised which is injecting malicious JS into multiple dApps.
— I'm Software 🦇🔊 (@MatthewLilley) December 14, 2023
Blockchain-Projekte wie RevokeCash und Kyber Network haben den Vorfall bestätigt. RevokeCash hat daraufhin seine Website kurzzeitig gesperrt, das Problem aber inzwischen behoben, die ausgenutzte Abhängigkeit entfernt und seine Website wieder geöffnet.
⚠️⚠️⚠️⚠️⚠️⚠️
Warning: Multiple popular crypto applications that integrate with Ledger's ConnectKit library, including https://t.co/MkINKOiX5N have been compromised. We temporarily took the website offline as we're investigating further. We recommend not using *any* crypto website…— Revoke.cash (@RevokeCash) December 14, 2023
Das Projekt rät seinen Nutzern jedoch davon ab, ihre Krypto-Wallets für den Rest des Tages mit einem Blockchain-Protokoll zu verbinden.
Nach Behebung des Problems immer noch nicht sicher
Das Ledger-Protokoll hat den Einsatz authentischer Software bestätigt und arbeitet aktiv daran, die wallet-entziehende Nutzlast aus seinem CDN-Dienst zu entfernen.
Trotz dieser Bemühungen raten Branchenexperten den Krypto-Nutzern zur Vorsicht, wenn sie sich mit Web3-basierten Lösungen beschäftigen.
Ethereum-Kernentwickler Hudson Jameson erklärte, dass Krypto-Nutzer, die eine der zahlreichen dApps besuchen, die mit dem Ledger-Ökosystem verbunden sind, durch Browseraufforderungen wie Metamask ihre Krypto-Wallet-Daten preisgeben könnten.
Diese Schwachstelle birgt das Risiko, dass Assets kompromittiert werden. Um dieses Risiko zu minimieren, wird den Nutzern dringend empfohlen, nicht mit den betroffenen dApps zu interagieren, bis das Update veröffentlicht wird.
Ledger Library Exploit Explainer for Average Folks
What is going on with the recent alerts not to use dapps?
A library that is used by many dapps that is maintained by Ledger was compromised and a wallet drainer was added.
What do I do as a normal user?
Do not interact with… https://t.co/exre0QfykD
— Hudson Jameson (@hudsonjameson) December 14, 2023
Jameson betonte, dass auch nach der Entfernung des bösartigen Codes alle angeschlossenen dApps ihre Bibliotheken aktualisieren müssen, bevor sie als sicher für die Nutzung angesehen werden können.






